Рост популярности искусственного интеллекта привлёк не только разработчиков, но и злоумышленников, которые быстро адаптируют свои методы под новые тренды. Специалисты FortiGuard Labs зафиксировали масштабную кампанию, в рамках которой вредоносные файлы распространяются под видом документов, обещающих обучение работе с AI. В архивах с названиями вроде "AI-Ready PostgreSQL 18: Building Intelligent Data Systems" и "A Guide for Thinking Marketers in the Age of AI" скрывается сложная цепочка заражения, ведущая к установке удалённого доступа и краже данных.
Описание
Кампания ориентирована на пользователей, активно ищущих образовательные материалы по искусственному интеллекту. Вредоносные файлы распространяются внутри сжатых архивов, которые внешне выглядят как безобидные технические ресурсы. Например, архив "Agentic Coding with Claude Code, The everyday developer’s guide to agentic coding with Claude Code.7z" содержит всего один видимый файл - ярлык LNK. Однако на самом деле внутри скрыты ещё два файла с атрибутом "Скрытый": 3th.pdf и 4th.pdf. Такой приём позволяет обмануть поверхностную проверку.
При открытии ярлыка запускается сложная цепочка команд, построенная из стандартных компонентов Windows - cmd.exe, more, type, findstr. Вместо того чтобы запускать исполняемый файл напрямую, атакующие превращают 3th.pdf в многослойный контейнер для данных. Ярлык извлекает из PDF всего четыре строки (26004, 26005, 26006, 26007), которые содержат скрипт PowerShell. Далее этот скрипт снова обращается к тому же PDF, но уже на глубину в несколько тысяч строк, чтобы получить зашифрованный блок между маркерами PGP-ключа. Расшифровка происходит с помощью пароля "1" и алгоритмов PBKDF2 с AES-CBC.
FortiGuard Labs обнаружили, что после расшифровки выполняется ещё один PowerShell-скрипт, который создаёт рабочий каталог в папке %LOCALAPPDATA%\Packages\Microsoft.WindowsSoundDiagnostics. Это имя выбрано не случайно - оно имитирует легитимный компонент звуковой подсистемы Windows. Затем скрипт извлекает из того же PDF несколько скрытых блоков, используя маркеры "=== SoundEffects X ===" и поля Name и KasKos. Декодированные данные преобразуются в файлы Subtitles, RealtekAudioService64.ps1 и RealtekAudioService64.bat. Последний представляет собой пакетный файл, который обеспечивает скрытый запуск PowerShell без отображения окна консоли.
На этом этапе атакующие уже закрепились в системе: они создают запланированную задачу CheckRealtekAudioVersion, замаскированную под службу Realtek, и подсовывают жертве безобидный PDF-документ 4th.pdf, чтобы отвлечь внимание. Однако настоящая опасность впереди. Скрипт RealtekAudioService64.ps1 использует китайские переменные для всех стандартных командлетов PowerShell - $测试路径, $连接路径, $新建项目 и так далее. Это не только затрудняет анализ, но и обходит сигнатурные детекторы, основанные на английских строках.
Самый интересный этап - работа с файлом Subtitles. Он оказывается GZip-архивом, содержащим целую файловую структуру. После распаковки и применения простого сдвига байтов (вычитание 3 по модулю 256) в папке Microsoft.WindowsSoundDiagnostics появляются настоящие инструменты для дальнейшей атаки. Среди них - два исполняемых файла, хеши которых совпадают с легитимным AutoHotkey.exe. Атакующие используют AutoHotkey как среду выполнения для скриптов *.ahk, в которых и заложена вредоносная логика. Такой подход снижает необходимость в компиляции и упрощает мутацию кода.
Далее цепочка разветвляется. Основной сценарий RtkNGUI64.ahk импортирует четыре дополнительных модуля и реализует классическую технику process hollowing (замещение легитимного процесса вредоносным кодом). Он выбирает случайный .NET-исполнитель из папки C:\Windows\Microsoft.NET\Framework\v4.0.30319\, читает из файла RtkLoggingManifest.man целые числа, преобразует их в байты и внедряет полученный PE-файл в выбранный процесс через API-вызовы CreateProcess, VirtualAllocEx, ZwUnmapViewOfSection и ResumeThread. Примечательно, что разработчик использовал в коде символические имена из китайской мифологии: "九天玄女" для CreateProcess, "乾坤袋" для VirtualAllocEx, "起死回生" для ResumeThread. Это усложняет статический анализ и сбивает с толку автоматизированные средства.
Вторая ветвь, управляемая скриптом RealtekAudioEnhancements64.ahk, выполняет отключающую защиту. Сначала она запускает PowerShell с повышенными правами, чтобы добавить папку C:\ в исключения Microsoft Defender и исключить powershell.exe из списка отслеживаемых процессов. Затем восстанавливает возможность выполнения VBS-скриптов, если она была отключена в реестре. Этот этап демонстрирует продуманность атаки: злоумышленники не просто надеются на сохранность уязвимостей, а активно приводят среду в удобное для себя состояние.
После этого через цепочку запланированных задач и VBS-файлов запускается финальная полезная нагрузка. Из файла ResetRealtekAudioSettings64.Realtek извлекаются два .NET-сборки. Одна из них - это полноценный Remote Access Trojan (RAT, троян удалённого доступа) с C2-серверами shampobiskworld.nl, shampoolagtto.com и shamppocosmaticso.com. Троян собирает информацию о системе: модель процессора, имя пользователя, версию ОС, данные об установленных средствах защиты и текущее время. Затем он устанавливает связь с сервером и ожидает команд. Анализ показал, что это модифицированная версия AsyncRAT - известного инструмента с открытым исходным кодом.
Набор команд включает управление состоянием (завершение работы, самоудаление, обновление), удалённое наблюдение (захват экрана, симуляция мыши) и продвинутые методы исполнения - рефлексивную загрузку сборок в память без записи на диск и процесс-холлоуинг. Весь трафик шифруется с помощью Rijndael (AES) в режиме ECB с ключом на основе MD5, что обеспечивает минимальную защиту от перехвата.
Примечательно, что в промежуточных скриптах обнаружены следы использования генеративных AI-инструментов. Смешение китайских комментариев, эмодзи-аннотаций и структурированного кода на английском языке указывает на то, что злоумышленник применял AI для ускорения разработки, но не удалил служебные пометки. Это позволяет предположить, что общая логика атаки создана человеком, а кодовая реализация частично автоматизирована.
Данная кампания демонстрирует, как злоумышленники адаптируются к новым технологическим трендам, маскируя вредоносные файлы под популярные обучающие материалы. Сложная многоступенчатая цепочка с использованием легитимных инструментов (AutoHotkey, штатных утилит Windows) и продуманной системой обхода защиты делает эту атаку особенно опасной для невнимательных пользователей.
Индикаторы компрометации
IPv4
- 107.172.10.190
Domains
- shampobiskworld.nl
- shampoolagtto.com
- shamppocosmaticso.com
SHA256
- 61b7fa5a7186cbf73dbc1f03e6e6f6819f5eb1e630a001059d381114bda2f974
- 7d6ee3c6ff8f70b1817aaec82aff1d2babe0b62cafef3975262644743afc0cb8
- 96b486bd7308ef3d6771360800f4c9b48b10697bd4cb69a8589b97b039377ecb
